2.4 Az IKT-kockázat az intézmény kockázatkezelési keretrendszerében

Az intézmény egész intézményre kiterjedő kockázatkezelési és belső kontrolljainak az EBH SREP - iránymutatásainak 5. címében meghatározott értékelése során az illetékes hatóságoknak mérlegelniük kell, hogy az intézmény kockázatkezelési és belső kontroll keretrendszere megfelelően védi -e az intézmény IKT-rendsz ereit, az intézmény méretével és tevékenységeivel, valamint az intézmény 3. címben meghatározott IKT -kockázati profiljával arányos módon. Az illetékes hatóságoknak különösen a következőket kell megállapítaniuk:

• a. a kockázatvállalási hajlandóság és a tőkemegfelelés belső értékelési eljárása (ICAAP) a működési kockázatok tágabb kategóriájának részeként lefedi -e az IKT-kockázatokat az általános kockázati stratégia meghatározása és a belső tőke megállapítása céljából; és
• b. az IKT-kockázatok az intézményi kockázatkezelési és belső kontroll keretrendszerek hatálya alá tartoznak-e.

Az illetékes hatóságoknak a fenti a) pont szerinti értékelést úgy kell elvégezniük, hogy mind az elvárt, mind a kedvezőtlen forgatókönyveket – pl. az intézményspecifikus vagy felügyeleti stressztesztben foglalt forgatókönyveket – figyelembe veszik.

Külön tekintettel a b) pontra, az illetékes hatóságoknak értékelniük kell, hogy az EBH SREP - iránymutatásai 104. bekezdésének a) és b) pontjában és 105. bekezdésének a) és c) pontjában részletezett független kontroll- és belső ellenőrzési funkciók megfelelőek - e ahhoz, hogy biztosítsák az IKT, illetve a kontroll - és ellenőrzési funkciók egymástól való megfelelő szintű függetlenségét, tekintettel az intézmény méretére és IKT-kockázati profiljára.